Häufig gestellte Fragen zur Codex Security Cloud

Diese FAQ behandelt die Codex Security Cloud. Informationen zu lokalen Scans und Arbeitsabläufen, die in einer Codex-Aufgabe ausgeführt werden, finden Sie im Schnellstart für das Codex Security-Plugin.

Erste Schritte

Was ist Codex Security?

Softwaresicherheit zählt weiterhin zu den schwierigsten und wichtigsten Herausforderungen im Engineering. Codex Security ist ein LLM-gestütztes Toolkit für Sicherheitsanalysen, das Quellcode untersucht und strukturierte, priorisierte Schwachstellenbefunde mit vorgeschlagenen Patches zurückgibt. Es unterstützt Entwickler und Sicherheitsteams dabei, Sicherheitsprobleme in großem Umfang zu erkennen und zu beheben.

Warum ist das wichtig?

Software bildet eine Grundlage der modernen Wirtschaft und Gesellschaft, und Schwachstellen erzeugen systemische Risiken. Codex Security unterstützt einen auf die Verteidigung ausgerichteten Arbeitsablauf, indem es kontinuierlich wahrscheinliche Probleme identifiziert, sie nach Möglichkeit validiert und Korrekturen vorschlägt. So können Teams die Sicherheit verbessern, ohne die Entwicklung zu verlangsamen.

Welches geschäftliche Problem löst Codex Security?

Codex Security verkürzt den Weg von einem vermuteten Problem zu einem bestätigten, reproduzierbaren Befund mit Nachweisen und einem vorgeschlagenen Patch. Dadurch sinkt der Aufwand für die Triage, und es entstehen weniger falsch positive Ergebnisse als beim alleinigen Einsatz herkömmlicher Scanner.

Wie funktioniert Codex Security?

Codex Security führt die Analyse in einem kurzlebigen, isolierten Container aus und klont das Ziel-Repository vorübergehend. Es analysiert den Code und gibt strukturierte Befunde mit einer Beschreibung, der Datei und Position, dem Schweregrad, der Ursache sowie einer empfohlenen Behebung zurück.

Bei Befunden mit Verifizierungsschritten führt das System die vorgeschlagenen Befehle oder Tests in derselben Sandbox aus. Es zeichnet Erfolg oder Fehlschlag, Exitcodes, stdout, stderr, Testergebnisse sowie alle erzeugten Diffs oder Artefakte auf und fügt diese Ausgaben als Nachweise für die Überprüfung bei.

Ersetzt es SAST?

Nein. Codex Security ergänzt SAST. Es erweitert bestehende Verfahren um semantische, LLM-basierte Schlussfolgerungen und automatisierte Validierung, während vorhandene SAST-Tools weiterhin eine breite deterministische Abdeckung bieten.

Funktionen

Wie sieht die Analysepipeline aus?

Codex Security folgt einer mehrstufigen Pipeline:

1. Analyse erstellt ein Bedrohungsmodell für das Repository.
2. Commit-Scan untersucht zusammengeführte Commits und den Repository-Verlauf auf wahrscheinliche Probleme.
3. Validierung versucht, wahrscheinliche Schwachstellen in einer Sandbox zu reproduzieren, um falsch positive Ergebnisse zu reduzieren.
4. Patcherstellung ist in Codex integriert und schlägt Patches vor, die Prüfer vor dem Öffnen eines PR einsehen können.

Codex Security unterstützt Entwickler in GitHub, Codex und gängigen Review-Arbeitsabläufen.

Welche Sprachen werden unterstützt?

Codex Security ist sprachunabhängig. In der Praxis hängt die Leistung davon ab, wie gut das Modell Schlussfolgerungen für die im Repository verwendete Sprache und das verwendete Framework ziehen kann.

Welche Ergebnisse erhalte ich nach Abschluss des Scans?

Sie erhalten priorisierte Befunde mit Schweregrad, Validierungsstatus und, sofern verfügbar, einem vorgeschlagenen Patch. Befunde können außerdem Absturzausgaben, Reproduktionsnachweise, Aufrufpfadkontext und zugehörige Anmerkungen enthalten.

Wie wird Kundencode isoliert?

Jeder Analyse- und Validierungsauftrag wird in einem kurzlebigen Codex-Container mit sitzungsbezogenen Tools ausgeführt. Artefakte werden zur Überprüfung extrahiert, und der Container wird nach Abschluss des Auftrags entfernt.

Wendet Codex Security Patches automatisch an?

Nein. Der vorgeschlagene Patch ist eine empfohlene Behebung. Benutzer können ihn prüfen und über die Befundoberfläche als PR an GitHub übertragen. Codex Security wendet Änderungen jedoch nicht automatisch auf das Repository an.

Muss das Projekt für den Scan gebaut werden?

Nein. Codex Security kann anhand des Repository- und Commit-Kontexts Befunde erstellen, ohne dass ein Kompilierungsschritt erforderlich ist. Während der automatischen Validierung versucht es gegebenenfalls, das Projekt im Container zu bauen, wenn dies bei der Reproduktion des Problems hilft. Einzelheiten zur Einrichtung der Umgebung finden Sie unter Codex-Cloud-Umgebungen.

Wie reduziert Codex Security falsch positive Ergebnisse und vermeidet fehlerhafte Patches?

Codex Security verwendet zwei Stufen. Zunächst priorisiert das Modell wahrscheinliche Probleme. Anschließend versucht die automatische Validierung, jedes Problem in einem sauberen Container zu reproduzieren. Erfolgreich reproduzierte Befunde werden als validiert gekennzeichnet. Dies trägt dazu bei, falsch positive Ergebnisse vor der menschlichen Überprüfung zu reduzieren.

Wie lange dauern erste Scans, und was geschieht danach?

Die Dauer des ersten Scans hängt von der Größe des Repositorys, der Build-Zeit und der Anzahl der Befunde ab, die validiert werden. Bei manchen Repositorys können Scans mehrere Stunden dauern. Bei größeren Repositorys können sie mehrere Tage in Anspruch nehmen. Spätere Scans sind in der Regel schneller, da sie sich auf neue Commits und inkrementelle Änderungen konzentrieren.

Was ist ein Bedrohungsmodell?

Ein Bedrohungsmodell ist der für den Scan verwendete Sicherheitskontext eines Repositorys. Es kombiniert einen kompakten Projektüberblick mit Details zur Angriffsfläche, beispielsweise Einstiegspunkten, Vertrauensgrenzen, Annahmen zur Authentifizierung und risikobehafteten Komponenten. Weitere Einzelheiten finden Sie unter Bedrohungsmodell verbessern.

Wie wird ein Bedrohungsmodell erstellt?

Codex Security weist das Modell an, die Repository-Architektur und sicherheitsrelevante Einstiegspunkte zusammenzufassen, den Repository-Typ zu klassifizieren, spezialisierte Extraktoren auszuführen und die Ergebnisse zu einem Projektüberblick oder einem Bedrohungsmodell-Artefakt zusammenzuführen, das während des gesamten Scans verwendet wird.

Ersetzt es eine manuelle Sicherheitsprüfung?

Nein. Codex Security beschleunigt die Prüfung und hilft bei der Priorisierung von Befunden, ersetzt jedoch weder die Validierung auf Codeebene noch Überprüfungen der Ausnutzbarkeit oder die menschliche Bedrohungsbewertung.

Kann ich das Bedrohungsmodell bearbeiten?

Ja. Codex Security erstellt das anfängliche Bedrohungsmodell, und Sie können es aktualisieren, wenn sich Architektur, Risiken und Geschäftskontext ändern. Informationen zum Bearbeitungsablauf finden Sie unter Bedrohungsmodell verbessern.

Muss ich einen Scan konfigurieren, bevor ich die Bedrohungsmodellierung verwende?

Ja. Die Empfehlungen zur Bedrohungsmodellierung hängen davon ab, wie und was Sie scannen. Daher müssen Sie zunächst das Repository konfigurieren. Weitere Informationen finden Sie unter Codex Security einrichten.

Was enthält der vorgeschlagene Patch?

Der vorgeschlagene Patch enthält einen minimalen, direkt anwendbaren Diff mit Dateinamen und Zeilenkontext, sofern für den Befund eine Behebung erstellt werden kann.

Ändert der Patch meinen PR-Branch direkt?

Nein. Der Arbeitsablauf erstellt einen Diff, eine Patchdatei oder einen Änderungsvorschlag, den Maintainer und Prüfer vor der Anwendung einsehen können.

Validierung

Was ist automatische Validierung?

Die automatische Validierung ist die Phase, in der versucht wird, ein vermutetes Problem in einem isolierten Container zu reproduzieren. Sie zeichnet auf, ob die Reproduktion erfolgreich war oder fehlgeschlagen ist, und erfasst Protokolle, Befehle und zugehörige Artefakte als Nachweise.

Was geschieht, wenn die Validierung fehlschlägt?

Der Befund bleibt unvalidiert. Protokolle und Berichte dokumentieren weiterhin die durchgeführten Versuche, sodass Entwickler die Reproduktion erneut versuchen, weitere Untersuchungen durchführen oder die Reproduktionsschritte anpassen können.